PA-00027-2024

1/15  Expediente N.º: EXP202317481 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de octubre de 2023, A.A.A. (en adelante, la parte reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haberse dirigido al responsable de la web https://www.republicamendalerenda.net, (denominada “República Errante Menda Lerenda”, en adelante R.E.M.L), a través de la dirección de correo electrónico republicamenda@gmail.com, solicitando información sobre quién es el responsable y las finalidades del tratamiento de los datos personales de aquellos usuarios que facilitan sus datos de carácter personal en la web, en la que se ofrece la expedición de un "certificado de ciudadanía" de la "República Errante de Menda Lerenda". La parte reclamante recibió respuesta a su correo electrónico, en el que se indicaba que en el sitio web no existe tratamiento de dato personal alguno, más que un número y frase, sin identidad. Sin embargo, se comprueba que en el citado sitio web existe un formulario de recogida de datos personales, (nombre, apellidos, domicilio y correo electrónico). Junto a la reclamación se aportan los correos electrónicos mantenidos con la parte reclamada, el 2 y 3 de octubre de 2023, en concreto:  Tres correos electrónicos escritos por la parte reclamante; dos solicitando información sobre “identidad del responsable del tratamiento, y finalidad del tratamiento” realizado en la web y, un tercer correo de respuesta a la parte reclamada en el que aporta diversos pantallazos de la web que evidencian la existencia de tratamiento de datos personales.  Dos correos de respuesta de la parte reclamada a las solicitudes de información del reclamante. En el primero, no atiende la solicitud de información de la persona afectada, remitiendo a ésta al sitio web y manifestando que en la web “hallará toda la información” y que ésta contiene “información íntegra”. En el segundo correo, mantiene su posición de no facilitar la información requerida por la parte reclamante y manifiesta que, en su sitio web, no se está realizando tratamiento de datos personales alguno “más que un número y frase, sin identidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 SEGUNDO: Con fecha 1 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos, (en adelante, SGID), procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Como consecuencia de las actuaciones de investigación realizadas, se ha tenido conocimiento de los hechos relacionados a continuación: - Mediante la práctica de la “Diligencia registro R.E.M.L” de 20 de febrero de 2024, se evidencia que tanto el 2 de octubre de 2023, (fecha de los hechos reclamados), como el 20 de febrero de 2024, en la web https://www.republicamendalerenda.net/, se recogen datos personales (nombre, apellidos, domicilio y correo electrónico) mediante el formulario que contiene la citada web. - De acuerdo con la “Diligencia waybackmachine republicamendalerenda” de 12 de agosto de 2024, se constata que el 2 de octubre de 2023, la web: https://www.republicamendalerenda.net/ contenía un formulario con los siguientes campos obligatorios: " "Titular Frase Recibir mi ID y el Certificado en: Español Inglés Nombre y apellidos del destinatario Dirección de envío Código Postal Población Provincia País Correo electrónico” No se ha encontrado en la citada web información sobre el tratamiento de los datos personales recabados, sólo las siguientes menciones: - “Esta web no almacena datos, solo son para envío”. “Puedes solicitar que eliminemos cualquier dato personal que tengamos sobre ti”, de acuerdo en lo evidenciado en la “Diligencia Registro en republica mendalerenda” de 9 de agosto de 2024, (pág. 4). Cabe mencionar que en la citada diligencia también se encuentra la única forma de contacto que se ha encontrado en la web (página 15): el correo electrónico: republicamenda@gmail.com C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 De acuerdo con las evidencias que se desglosan a continuación cabe deducir que el citado reclamado, B.B.B., con DNI: ***NIF.1 y domicilio en ***DIRECCIÓN.1 es el responsable de la web https://www.republicamendalerenda.net/ - Identificación por parte de la operadora Orange, del titular del número de teléfono ***TELÉFONO.1 (en adelante, “teléfono R.E.M.L”) que figura en la web, asociado a los pagos como teléfono de titularidad de la parte reclamante. - Hostinger, registrador de dominios de Internet, evidencia que la parte reclamante tiene el mismo número de teléfono de contacto que el de la página web ***TELÉFONO.1 (teléfono REML). - En la “Diligencia INFORME JURÍDICO R.E.M.L” de 9 de agosto de 2024, en la página 23, se reproduce la comunicación del Registro General de la Propiedad Intelectual de la inscripción ***REFERENCIA.1 presentada el 14 de octubre de 1999 con número de asiento registral: ***REFERENCIA.2, que evidencia que existe un registro en dicha institución. - Identificación por el Banco ***EMPRESA.1 del titular de la cuenta que opera con ese mismo número teléfono (teléfono R.E.M.L) en la plataforma de pagos Bizum y de la titularidad de la cuenta con la que se paga el dominio “reml.republican”. - Informe jurídico publicado en la Web reclamada Asimismo, cabe indicar, tal y como se recoge en las conclusiones del informe de actuaciones previas que, al requerimiento de esta Agencia, B.B.B. responde: “carezco de instrucción informática […] pongo en su conocimiento y dejo constancia que el sitio web al que se refiere es foráneo del que no opero. […].”. De la misma manera y a tenor de lo indicado en el informe de actuaciones previas, cabe indicar lo siguiente: - Se deduce que la actividad del investigado está relacionada con los tratamientos de datos. Mediante la “Diligencia waybackmachine republicamendalerenda”, se pone de manifiesto que esta web se encuentra operativa, al menos, desde el 10 de agosto de 2013. y que no consta que se hayan resuelto procedimientos por infracciones de la persona responsable en el último año. CUARTO: Con fecha 28 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 14 de febrero de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 24 de febrero de 2025 se recibe escrito de la parte reclamada en el que solicita que las comunicaciones se sigan realizando por correo postal, ya que no podrá atender telemáticamente debido a sus limitaciones informáticas. SÉPTIMO: En fecha 28 de abril de 2025 tiene entrada un escrito de la parte reclamada en el que manifiesta que “pongo en su conocimiento que según el expediente arriba mencionado se ha procedido a actualizar la web según modificaciones indicadas por lo que queda acreditado que la obligación de informar ha sido satisfecha en el plazo establecido.” OCTAVO: En fecha 25 de junio de 2025 se accede a la página web https://www.republicamendalerenda.net, y se observa que, en esta página, ya no se encuentra el formulario de recogida de datos. Asimismo, en la política de privacidad se recoge: “Tratamiento de datos personales. Esta web no almacena datos. Los datos recabados en el formulario solo son para el envío. R.E.M.L. no utilizará tus datos bajo ningún otro concepto que los comunicados. A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por datos personales: “toda información sobre una persona física identificada o identificable (“el interesado”); Y se considerará persona física identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente…” No se puede determinar la identidad de ninguna persona física directa o indirectamente puesto que cada Identificación es al portador, anónima, quedando inscrita únicamente en el Registro una numeración y una frase secreta del Certificado como comprobante de autenticidad del documento. Sin nombre ni otro dato personal alguno vinculado. Por cuanto la identidad de la persona física no puede determinarse ni directa y indirectamente. No se puede acreditar al propietario de ninguna Identificación, por lo que cada ejemplar de Identificación y su Certificado son anónimos y de libre transferencia.” NOVENO: En fecha 25 de junio de 2025 se accede a la página web https://www.republicamendalerenda.net y se comprueba que, en la pestaña “oficina de tramitación”, se recogen dos opciones de emisión de certificado que son: - la emisión del certificado como identificación física, que “incluye: tramitación, identificación original numerada y registrada formato tarjeta plástica, certificado de autenticidad numerado, pin exclusivo numerado, registro en archivos, envío internacional por correo certificado, transferible.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 - la emisión de la identificación virtual no transferible, que incluye tramitación, identificación original numerada y registrada digital, certificado de autenticidad con referencia codificada individual, registro en archivos, despacho total telemático con emisión de documentos en PDF Block, custodia en formato físico de cada documentación virtual emitida por si se precisa su envío. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 3 de octubre de 2023 se recibe reclamación en la que se indica que la página web https://www.republicamendalerenda.net/, cuya responsable es la parte reclamada, recoge datos personales sin informar de quien es el responsable del tratamiento. Junto a la reclamación se aporta un apartado de la publicación en la web citada, en la que se puede leer: “Con quien compartimos tus datos. Tus datos solo serán usados para responder a tus correos. Qué derechos tienes sobre tus datos. Puedes solicitar que eliminemos cualquier dato personal que…” SEGUNDO: En fecha 28 de noviembre de 2023 se comprueba que la página web https://www.republicamendalerenda.net/, cuyo responsable es la parte reclamada tenía un formulario que recogía los datos personales de las personas que se registraban para solicitar el certificado de identificación que vende en su web. Este formulario recogía: “REML emite identificación certificada. CERTIFICADO: Paso 1. Rellenar formulario. Titular Nombre y apellidos Dirección de envío Código postal. Población Provincia País Correo electrónico Mensaje (…) Paso 2 Métodos de pago (…)” TERCERO: En fecha 28 de noviembre de 2023 se comprueba que la política de privacidad de la página web https://www.republicamendalerenda.net/, recoge en el apartado “Quienes somos. La dirección de nuestra web es www.republicamendalerenda.net.” CUARTO: En fecha 12 de agosto de 2024 se comprueba, mediante diligencia incorporada al expediente, que la página web https://www.republicamendalerenda.net/, seguía recogiendo los siguientes datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 Nombre y apellidos del destinatario Dirección de envío Código Postal Población Provincia País Correo electrónico QUINTO: La política de privacidad de la página web únicamente hacía las siguientes menciones sobre el tratamiento de los datos personales recabados, según consta en la diligencia de fecha 12 de agosto de 2024, incorporada al expediente: - “Esta web no almacena datos, solo son para envío”. “Puedes solicitar que eliminemos cualquier dato personal que tengamos sobre ti”, SEXTO: En fecha 25 de junio de 2025 se accede a la página web https://www.republicamendalerenda.net/, y se comprueba que la política de privacidad recoge el siguiente contenido: “Esta web no almacena datos. Los datos recabados en el formulario solo son para el envío. R.E.M.L, no utilizará tus datos bajo ningún otro concepto que los comunicados. (…)” SÉPTIMO: En fecha 25 de junio de 2025 se accede a la página web https://www.republicamendalerenda.net/ y se comprueba que no se encuentra el formulario de recogida de datos que se había diligenciado en fecha 12 de agosto de 2024. OCTAVO: En fecha 25 de junio de 2025 se comprueba que la página web https://www.republicamendalerenda.net/ en la pestaña “oficina de tramitación” se recogen dos opciones de emisión de certificado que son: - la emisión del certificado como identificación física, que “incluye: tramitación, identificación original numerada y registrada formato tarjeta plástica, certificado de autenticidad numerado, pin exclusivo numerado, registro en archivos, envío internacional por correo certificado, transferible.” - la emisión de la identificación virtual no transferible, que incluye tramitación, identificación original numerada y registrada digital, certificado de autenticidad con referencia codificada individual, registro en archivos, despacho total telemático con emisión de documentos en PDF Block, custodia en formato físico de cada documentación virtual emitida por si se precisa su envío. NOVENO: Se comprueba en fecha 25 de junio de 2025 que la política de privacidad publicada en la web de la parte reclamada no recoge la información prevista en el artículo 13 del RGPD. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III Datos personales y su tratamiento El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por datos personales: “toda información sobre una persona física identificada o identificable («el interesado»); Y se considerará persona física identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Asimismo, de conformidad con el artículo 4.2 del RGPD, debe entenderse por “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Así, tal y como resulta de las actuaciones de investigación, de forma concreta se desprende un tratamiento de datos personales mediante la recogida por la parte reclamada y a través de un formulario de, entre otros datos personales: nombre y apellidos, DNI, dirección, código postal, provincia, población, país o correo electrónico, de aquellos usuarios interesados en la expedición de un "certificado de ciudadanía" de la "República Errante de Menda Lerenda". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 De esta manera, la actividad del investigado en la web R.E.M.L estaría relacionada con el tratamiento de datos personales, quedando éste, por tanto, sujeto a la normativa de protección de datos. La parte reclamada realizaría esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD que indica que el «responsable del tratamiento» o «responsable» es: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.” Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo en la web “R.E.M.L” es acorde con lo establecido en el RGPD. IV Alegaciones aducidas La parte reclamada ha presentado un escrito en fecha 28 de abril de 2025 en el que pone de manifiesto que “se ha procedido a actualizar la web según modificaciones indicadas por lo que queda acreditado que la obligación de informar ha sido satisfecha en el plazo establecido”. De este modo, en el acuerdo de inicio de procedimiento de apercibimiento se recogía que la parte reclamada tenía que realizar la adopción de las siguientes medidas: “(…) en la resolución que se adopte, se podrá requerir al responsable para que en el plazo tres meses a contar desde que se notifique la resolución de ese procedimiento de apercibimiento, se notifique a esta Agencia la adopción de las siguientes medidas: - Acreditación por parte del responsable del tratamiento, que en la web R.E.M.L, se informa a los interesados, conforme a lo establecido en el artículo 13 de todas las circunstancias relativas al tratamiento de sus datos personales contenidas en dicho precepto. La información anteriormente expuesta deberá ponerse a disposición de los interesados cuando naveguen por la web en el momento en que se soliciten los datos, previamente a su recogida o registro. En cualquier caso, la información a las personas interesadas deberá proporcionarse con un lenguaje claro y sencillo, de forma concisa, transparente, inteligible y deberá ser de fácil acceso. El responsable deberá poder acreditar que la obligación de informar ha sido satisfecha en el plazo anteriormente establecido.” La parte reclamada, en su escrito de fecha de entrada 28 de abril de 2025, manifestaba que ya había dado cumplimiento a estas medidas, puesto que había manifestado que “se ha procedido a actualizar la web según modificaciones indicadas por lo que queda acreditado que la obligación de informar ha sido satisfecha en el plazo establecido”. No obstante, tal y como se recoge en la documentación de fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 25 de junio de 2025, incorporada al expediente, se puede comprobar que se ha eliminado el formulario de registro que figuraba con anterioridad. Asimismo, en la política de privacidad se recoge: “Esta web no almacena datos. Los datos recabados en el formulario solo son para el envío. R.E.M.L. no utilizará tus datos bajo ningún otro concepto que los comunicados. A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por datos personales: “toda información sobre una persona física identificada o identificable (“el interesado”); Y se considerará persona física identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente…” No se puede determinar la identidad de ninguna persona física directa o indirectamente puesto que cada Identificación es al portador, anónima, quedando inscrita únicamente en el Registro una numeración y una frase secreta del Certificado como comprobante de autenticidad del documento. Sin nombre ni otro dato personal alguno vinculado. Por cuanto la identidad de la persona física no puede determinarse ni directa y indirectamente. No se puede acreditar al propietario de ninguna Identificación, por lo que cada ejemplar de Identificación y su Certificado son anónimos y de libre transferencia” Como ya se había señalado en el acuerdo de inicio, la parte reclamada recogía datos personales como eran nombre y apellidos, DNI, dirección, código postal, provincia, población, país o correo electrónico. En el caso de que se efectúe recogida de datos por parte del titular de los mismos, el artículo 13 del RGPD establece la información que el responsable del tratamiento debe dar, y que es:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. Además, en el apartado segundo se añade:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
13. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. En el caso analizado, la parte reclamada disponía en su página web de un formulario de recogida de datos personales con el que se solicitaba a los interesados nombre y apellidos, dirección completa, país y correo electrónico para la expedición de un certificado. Sin embargo, la política de privacidad publicada en dicha página web se limitaba a indicar de forma genérica que “esta web no almacena datos, solo son para envío” y que “no se utilizarán tus datos bajo ningún otro concepto que los comunicados”, sin aportar ninguna información adicional. A fecha 25 de junio de 2025, se ha comprobado que la política de privacidad sigue presentando las mismas deficiencias, manteniendo un contenido igualmente incompleto y genérico. Las menciones actuales, como “esta web no almacena datos. Los datos recabados en el formulario solo son para el envío. R.E.M.L. no utilizará tus datos bajo ningún otro concepto que los comunicados”, no suponen una información adecuada ni suficiente conforme a lo exigido por el artículo 13 del RGPD. Estas afirmaciones, además de ambiguas, no permiten al interesado conocer con claridad el alcance del tratamiento, su legitimidad, ni sus derechos. Por tanto, al no haberse corregido ni completado la información legalmente exigible a fecha 25 de junio de 2025, se mantiene el incumplimiento del deber de información previsto en el artículo 13 del RGPD, lo que constituye una presunta infracción imputable a la parte reclamada como responsable del tratamiento. De este modo, esta alegación no puede ser tenida en cuenta. V Infracción del artículo 13 RGPD. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. El artículo 13 del RGPD establece la información que el responsable del tratamiento deberá facilitar al interesado cuando los datos personales se obtengan de aquél, en virtud del cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
14. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
15. b)los datos de contacto del delegado de protección de datos, en su caso;
16. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
17. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
18. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
19. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
20. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
21. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
22. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
23. d)el derecho a presentar una reclamación ante una autoridad de control;
24. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
25. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 Conforme a lo establecido en el artículo 13 RGPD, el responsable del tratamiento debe facilitar al interesado toda la información contenida en dicho precepto en el momento en que dichos datos personales se obtengan de aquél. En el presente supuesto se ha comprobado que la parte reclamada está realizando un tratamiento de los datos personales recogiendo datos de los interesados en la web R.E.M.L, sin estar facilitando la citada información, lo que supone el incumplimiento del deber de informar a los interesados establecido en el citado artículo 13 del RGPD. V Tipificación y calificación de la infracción del artículo 13 del RGPD Los hechos expuestos vulneran lo establecido en el artículo 13 del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5
26. b)del RGPD, que dispone de lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
27. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera leve conforme al artículo 74
28. a)de la LOPDGDD, que establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
29. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…).” VI Apercibimiento por la infracción del artículo 13 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 dispone en el apartado 2.
30. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
31. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendida la naturaleza de los hechos y las circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 13 del RGPD, procede dirigir a la parte reclamada un apercibimiento, sin perjuicio de lo que resulte de la instrucción. VII Medidas correctivas De acuerdo con lo establecido en el citado artículo 58.2
32. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que dan lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce perfectamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 No obstante, en este caso, se requiere al responsable para que en el plazo tres meses a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento de apercibimiento, se notifique a esta Agencia la adopción de las siguientes medidas: - Acreditación por parte del responsable del tratamiento, que en la web R.E.M.L, se informa a los interesados, conforme a lo establecido en el artículo 13 de todas las circunstancias relativas al tratamiento de sus datos personales contenidas en dicho precepto. La información anteriormente expuesta deberá ponerse a disposición de los interesados cuando naveguen por la web en el momento en que se soliciten los datos, previamente a su recogida o registro. En cualquier caso, la información a las personas interesadas deberá proporcionarse con un lenguaje claro y sencillo, de forma concisa, transparente, inteligible y deberá ser de fácil acceso. El responsable deberá poder acreditar que la obligación de informar ha sido satisfecha en el plazo anteriormente establecido. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo de apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5.
33. a)del RGPD. SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
34. d)del RGPD, en el plazo de 3 desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a adaptar la política de privacidad de su web https://www.republicamendalerenda.net/ a lo establecido en el artículo 13 del RGPD. TERCERO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es